[SR4] Hacker mit Admin Account unantastbar?

GeistSdD · 12. Mai 2009

Hallo
ich habe eine Verständnisfrage zu Admin Accounts.

So wie ich das Verstanden habe, hat der Root Account uneingeschränkte Befugnis im System. Richtig? So wie heutzutage auch.

Also Joe Hacker sondiert einen Knoten und findet nach kurzer Zeit, in VR maximal ein paar Stunden eine Sicherheitslücke (Das er scheitert ist ja nahezu ausgeschlossen) auf Wunsch auch als Account mit Admin Rechten, dann dauerts halt noch klein wenig länger. Wir können davon ausgehen, dass er nach ca. 10 Stunden spätestens in nahezu jedes System eingedrungen ist, wenn er auch nur halbwegs Professionell ist.

Die Firewall hat ihn beim Ausnutzen der Sicherheitslücke natürlich auch nicht erwischt. Logisch bei Schleicher 5+ nötigen Erfolgen

So jetzt ist er drin. Und nun?

Umherwanderndes Sicherheits IC? Schaltet er halt aus. Schließlich hat er höheres Befugnislevel als das IC
Laufendes Analyseprogramm? Aus damit, ist eh nur ressourcenfressender Prozess
Die Daten die er braucht? Einfach transferieren auf externes Medium, hält ihn ja keiner auf.
Einträge in Log file, die irgendwehn sturzig machen könnten? Edit
Solage er jetzt nicht anfängt das Netzwerk zu zerlegen, oder der echte Admin sich einloggen möchte, wird auch niemand auf ihn aufmerksam.

Wer überwacht den Admin? Er kann ja alle Überwachung ausschalten.
Kein Alarm, kein Sicherheitshacker (es sei den er weis, das betreffender Admin grad im Urlaub is oder sonstwas) Nüx

Gut dann gibt es da noch die verbesserten Logins mit SIN Check, Biometrischen Daten oder was weis ich, aber dass wird ja wohl nicht bei jeder Aktion des Root Accounts abgefragt werden, sondern wohl eher nur beim Login der entsprechenden Person (wenn wir nicht grad beim Zürich Orbital stöbern möchten)

Genau das wird aber ja beim Ausnutzen von Sicherheitslücken auch umgangen, zumindest hab ich nix darüber gefunden, ob das noch zusätzliche Erschwernisse oder ähnlichen mit sich bringt.

Ist das so gedacht? Oder wird auch der Root Account bei jeder Handlung von irgendwas kontrolliert? (so das Proben fällig würden)

Vielleicht hab ich da auch genrell was falsch vertanden

Angier · 12. Mai 2009

Das Sicherheitskapitel und das Hackerhandbuch im Vernetzt erklären dir das gern näher.

Medizinmann · 12. Mai 2009

Ja,ist es,sobald der Hacker erstmal im System ist,kann er Tun&Lassen was er will
So wie der Einbrecher in einem leeren Gebäude,wenn er sich an den Wachen & Alarmanlagen vorbeigeschlichen hat :wink:
Oder mal "Gegenfrage."
der Hacker ist doch dafür da,das er in ein System eindringt und manipuliert.So wie der Magier dafür da ist,das er Geister beschwört,der Fahrer/Rigger dafür da,das er das Team sicher irgendwohin bringt und auch wieder abholt,etc.

HokaHey
Medizinmann

Chaki · 12. Mai 2009

Nun, auffallen wird es schon wenn patroullierendes IC ausfällt oder sich Nutzer des Nexi nichtmehr der Systemsuche bedienen können (zB durch das Nexuseigene Browseprogramm). Da kommts dann zu den unter WoW Spielern geliebten GM Tickets oder einfach ne Anfrage an den Techsupport, denn hey, in meiner Liste ist der Admin doch online, also ist er ansprechbar! Und wenn er gerade afk (away from kommlink) ist, dann gibts halt eine Offline Message die ihm zugestellt wird.
Aber im großen und ganzen kannst du tun und lassen was du willst, aber das oben genannte sind alles hinweise das "etwas nicht stimmt" und die den Hack auffälliger machen als er müsste.

Tildus · 12. Mai 2009

Auf Seite 85 im Unwired steht exakt so ein Beispiel wie sich ein Hacker einen Admin-Zugang hackt und als Admin das IC deaktiviert. Dummerweise fällt dies der Spinne per Matrix-Wahrnehmungsprobe auf und es kommt zum Kampf.
Lebende Spinnen kann man leider nicht so leicht deaktivieren :wink:

Böse SL können bei den fortschrittlicheren Konzernen z. B. Horizon auch Sicherheits Technomancer als Spinnen beschäftigen und deren Sprits können vom Hacker gar nicht deaktiviert werden.

GeistSdD · 12. Mai 2009

"Tildus" schrieb:

Auf Seite 85 im Unwired steht exakt so ein Beispiel wie sich ein Hacker einen Admin-Zugang hackt und als Admin das IC deaktiviert. Dummerweise fällt dies der Spinne per Matrix-Wahrnehmungsprobe auf und es kommt zum Kampf.
Lebende Spinnen kann man leider nicht so leicht deaktivieren :wink:

Na dann weis ich ja Bescheid. Hab ich das doch nicht falsch verstanden Da wird sich der Hacker unserer Gruppe aber freuen, was er so alles draf.

Falls er beim eindringen Alarm auslöst (er nen Honigtopf anfasst oder so) oder ein IC ihn zufällig scannen sollte und herausfindet, das er dort nicht hingehört. Dann wird ihm aber sofort jede Aktion untersagt und er muss sich den Weg freihacken richtig?

Wie ist das mit Zugriffsschlüssel gesicherten Knoten. Eigentlich sollte ja jegliche Verbindung, die keinen Zugriffsschlüssel beim Zugriff mitübermitelt sofort gesperrt werden. Kann man sich da auch rein Sondieren? Das würde diese Sicherheitsmaßnahme, genau wie erweiterte Passwörter nutzlos machen.

GeistSdD · 12. Mai 2009

Das dem Zugriffsschlüssel hat sich erledigt, hab grad gesehen, dass dieser bei jeder Aktion der Person ins Zugriffsprotokoll eingetragen wird. Ist also nur eine Frage der Zeit bis man damit auffliegt.
Hätte mich bei den Preisen jetzt auch gewundert, wenn die nutzlos gewesen wären.

Skorbin · 12. Mai 2009

Also vielleicht bin ich etwas paranoid, aber wenn ich ein verantwortlicher Administrator eines Systems wäre, würde wohl bei bestimmten Aktionen automatisch eine SMS/Mail auf mein Kommlink kommen (Ausbleiben des periodischen "Lebenszeichen" des IC, Veränderung in der Accountdatenbank für höhere Sicherheitslevel, Löschen bestimmter wichtiger Dateien, etc.).
Natürlich kann ich die Aktion dadurch wahrscheinlich nicht verhindern, aber als Alarmsignal um mal nach dem Rechten zu schauen, taugt das immer.

Als gemeiner SL kann man ja auch noch festlegen, dass bestimmte Aktionen nur durchgeführt werden, wenn sie von zwei oder mehr Personen innerhalb eines kleinen Zeitfensters autorisiert werden, vergleichbar mehrerer Schlüssel eines Banktresors.

Als weitere Schwierigkeit kann auftauchen, dass bestimmte Aktionen oder Dateien mit zusätzlichen Schlüsseln oder Sicherheitsmechanismen versehen sind, die ein unvorsichtiger Hacker noch auslösen kann, selbst wenn er bereits im System ist. Denkbar wäre, dass der Admin zwar den Datenbereich zur Verfügung stellt, aber die Forschungsdaten darin von einer weiteren Person verschlüsselt sind.
Eine Hürde gegenüber dem Download und einer Offline-Entschlüsselung kann man dem Server eine Hardwarekomponente verpassen, der dafür sorgt, dass Ent- und Verschlüsselung nur auf Servern mit dieser Hardwarekomponente möglich ist.

Wer den Film "Impossible Mission" gesehen hat, der weiss, dass selbst wenn man durch den schwer bewachten Eingang gekommen ist, der Zugang zu weiteren Räumen/Geräten mit weiteren Schutzmechanismen versehen war (Retina Scan, Bewegungssensoren, Thermosensoren, etc.).

Und was hindert mich daran, einen Server nur als Zugang zu einem weiteren Server zu machen, der wiederum nur als Zugangskontrolle für einen weiteren Server arbeitet?
Je mächtiger der Konzern und je sensibler die Daten, desto paranoider die Sicherheitsleute

Zusammengefasst: es können beliebig viele zusätzliche Sicherheitsmechanismen einführt werden, die es einem Spielleiter ermöglichen, dass Leben eines Hackers noch spannend und herausfordernd zu gestalten. Damit kann man dann eine Balance zwischen Langeweile (zu leicht) und Frust (zu schwer) finden.

Die oben aufgeführten Ideen sind nicht irgendwo aus dem Regelwerk hergeleitet, sondern meinem kranken Hirn entstanden, aber ein paar der Ideen sind sicher umsetzbar. :wink:

GeistSdD · 12. Mai 2009

"Skorbin" schrieb:

Also vielleicht bin ich etwas paranoid, aber wenn ich ein verantwortlicher Administrator eines Systems wäre, würde wohl bei bestimmten Aktionen automatisch eine SMS/Mail auf mein Kommlink kommen (Ausbleiben des periodischen "Lebenszeichen" des IC, Veränderung in der Accountdatenbank für höhere Sicherheitslevel, Löschen bestimmter wichtiger Dateien, etc.).
Natürlich kann ich die Aktion dadurch wahrscheinlich nicht verhindern, aber als Alarmsignal um mal nach dem Rechten zu schauen, taugt das immer.

Vielleicht wirklich ein klein wenig paranoid

Ich als System Admin will nicht 50 Mails aufs Komm geschickt bekommen, wenn ich selbst mit meinem Account im Knoten arbeite und der Hacker nutzt ja meinen Account.

Naja, aber dass mit den mehreren Sicherheitsleveln und Unterknoten, die jeweils einzeln gesichert sind is schon richtig.
Ich glaube auch nicht, das die Bodenstation des Zürich Orbitals als Beispiel, einen allgemeinen Admin hat, wohl eher je Knoten einen und der hat dann nur da das sagen.
So das der Hacker sich von Knoten zu Knoten durcharbeiten muss.

(Ansonsten wäre dieser Admin ein sehr sehr sehr wichtiger und noch viel besser bezahlter Mann, der niemals, unter keinen Umständen mit der Aussenwelt kommunizieren dürfte. Geschweige denn das Gelände verlassen dürfte :-D)

Nico · 12. Mai 2009

Wo wir schonmal beim Thema sind:
Kann ein Adminn den Account eines anderen kicken?
Das wäre nämlich der Lacher, wenn die Spinne vom Klo kommt, sich wieder einstöpselt und plötzlich nicht mehr reinkommt.
Und am ende noch vom selbstinstallierten IC als Gefahr eingestuft und attackiert wird.

GeistSdD · 12. Mai 2009

"Nico" schrieb:

Wo wir schonmal beim Thema sind:
Kann ein Adminn den Account eines anderen kicken?

Soviel ich gelesen habe kann er neue Accounts erstellen und andere Sperren/löschen oder die Berechtigungen/Passwörter ändern.
Jetzt ist natürlich wirklich die Frage was überprüft das IC alles. Wenn das so eingestellt ist, dass es solche Besonderheiten wie Sicherheitsaccounts löschen oder erstellen, genauer unter die Lupe nimmt, könnte der Hacker dabei auffallen. Sonst wohl nicht.

Chaki · 13. Mai 2009

Also, ich denke bei nem bestehenden Adminaccount rumpfuschen würde definitv unter die Kategorie "benötigt nochmal eine Sicherheitsabfrage" fallen, zumindest in den Systemen die ein bisschen was auf Sicherheit geben. Es muss ja nicht gleich ein Alchemical Passkey sein.

Wunderbaum · 24. Mai 2009

"Nico" schrieb:

Wo wir schonmal beim Thema sind:
Kann ein Adminn den Account eines anderen kicken?
Das wäre nämlich der Lacher, wenn die Spinne vom Klo kommt, sich wieder einstöpselt und plötzlich nicht mehr reinkommt.
Und am ende noch vom selbstinstallierten IC als Gefahr eingestuft und attackiert wird.

Das sollte mMn schon machbar sein als Admin, schließlich bist du mehr oder weniger allmächtig. Es gibt keine höhere Macht als dich am Server. Somit solltest du so so ziemlich alles befehlen dürfen, angefangen von Benutzer (User und Security Accounts) disconnecten, über deren Accounts löschen/sperren, sowie dem IC neue Befehlsparameter setzen, usw. usf. Du musst natürlich erst die passenden Datensätze finden, um diese dann zu editieren, also hat die Spinne doch noch eine geringe Chance dich auszuknipsen. Datenbomben bleiben weiterhin eine Gefahr für dich, da die afaik Account-unabhängig agieren, also man sollte den richtigen Code parat haben UND überhaupt erstmal wissen dass sie da sind.

Wenn dann aber mal ein richtiger Admin auftaucht ziehst du vermutlich den kürzeren, da er kurzerhand eine oder mehrere Spinnen wieder ins System einladen kann. Er kennt sich grundsätzlich besser mit der Systemarchitektur aus als der Hacker, so dass er deine Manipulationen möglicherweise ziemlich schnell reversieren kann. D.h. massig IC + Sicherheitshacker trachten dir dann nach deinem digitalen Leben.

Ob es dann nicht doch schlauer ist alles möglichst unauffällig auf die Reihe zu bekommen? :wink:

Nico · 24. Mai 2009

Nun ja, wenn du drinn bist, mit Addmin-account, dann kannst du dir die Zeit verschaffen, die du benötigst um alles heimlich hinzukriegen.
Alle Accounts mit nem neuen Passwort versehen, Virus installieren und fertig ists.
Besonders wen du den Unplug-Virus installierst, oder was selbstgebautes.
Bis das was du getan hast auffällt hat die Spinne andere Dinge zu tun.

Und wenn du sondierst, ist die Chance hoch, dass man relativ ungesehen reinkommt.